PT-2024-5718 · Apache · Apache Cloudstack

Christian Gross + 1 · Publicado 2024-08-06 · Atualizado 2024-08-29 · CVE-2024-42222

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

Nome do software vulnerável e versões afetadas

Apache CloudStack versão 4.19.1.0

Descrição

O problema está relacionado a uma regressão na API de listagem de rede, permitindo o acesso não autorizado à lista de detalhes de rede por contas de administrador de domínio e de usuários comuns. Isso compromete o isolamento dos locatários, podendo levar ao acesso não autorizado a detalhes de rede, configurações e dados.

Recomendações

Para o Apache CloudStack versão 4.19.1.0, atualize para a versão 4.19.1.1 para resolver este problema. Usuários de versões mais antigas do CloudStack que estejam considerando uma atualização podem pular a versão 4.19.1.0 e atualizar diretamente para a 4.19.1.1.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BDU:2024-06431

CVE-2024-42222

Produtos afetados

Apache Cloudstack

Referências · 11

• 🔥 https://github.com/apache/cloudstack/issues/9456 · Exploit
• https://bdu.fstec.ru/vul/2024-06431 · Nota de Segurança
• http://openwall.com/lists/oss-security/2024/08/06/6 · Nota
• https://shapeblue.com/shapeblue-security-advisory-apache-cloudstack-security-releases-4-18-2-3-and-4-19-1-1 · Nota
• https://t.me/cvenotify/89591 · Publicação no Telegram
• https://cloudstack.apache.org/blog/security-release-advisory-4.19.1.1-4.18.2.3 · Aviso do Fabricante, Correção
• https://nvd.nist.gov/vuln/detail/CVE-2024-42222 · Nota de Segurança
• https://t.me/cvedetector/2675 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-42222 · Aviso do Fabricante
• https://lists.apache.org/thread/lxqtfd6407prbw3801hb4fz3ot3t8wlj · Aviso do Fabricante
• https://t.me/pentestingnews/50097 · Publicação no Telegram